Squid-3.3.5 Liberar Skype

[tomaswaldow]

só procurar no forum por Skype;
https://forum.pfsense.org/index.php?topic=85789.msg470517#msg470517

[luispaulo]

Olá estou com um squid3+squidGuard com proxy transparente e filtro ssl e o skype  não funciona de jeito algum.

Alguém pode me dar um dica?

[jmalafaia]

Pessoal, por favor, alguém pode dar um ajuda ? Eu tenho o pfsense versão 2.3.2 + Squid + Squid Guard. Estou utilizando proxy transparente com filtro SSL ativado. Porem a unica coisa que nao consigo fazer é com que o skype funcione.

Já olhei diversos tópicos, já criei uma alias, com os endereços que estavam aqui no forum. Tem mais alguma outra lista atualizada ? Criei uma regra liberando qualquer protocolo para esses ips, mesmo assim, o skype só conecta, mas não manda mensagem.

Por favor, me ajudem. Obrigado

João Malafaia

[Douglas Araujo]

Boa noite

https://www.vivaolinux.com.br/dica/Bloqueando-Skype-em-definitivo-no-IPtables

tem sim

e nois.

[danilosv.03]

Galera, esto tendo um problema semelhante. Porém o meu loga, só que o contato não recebe mensagem se ele estiver em um grupo de conversas. Eu tenho as portas 80 e 443 liberada, eu fiz uma alease com os ranger que vocês mandaram nos tópico acima, consigo até ver o tráfego passando pela minha regra. Outro problema é que depois que loga aquela bolinha do status fica só atualizando, como se tentasse logar entende?
(vejam imagem)


[gui.ap]

A nova versão do Skype também não esta funcionando aqui, devem ter alterado os IP e URLS de acesso.

[danilosv.03]

Consegui liberar ele no squidguard, colocando os dominio dele.

[gui.ap]

Mas a ultima versão?

A antiga funcionava, mas a ultima agora esta bloqueando.

[danilosv.03]

Sim e atualizada 2.3.2_1

[opala]

Habilitei o proxy https, porém o skype não funcionava, consegui liberar os sites com destino na porta 443 conforme informaram anteriormente, mas o que consegui foi apenas fazer o chat funcionar, porém chamadas por áudio ou vídeo e troca de arquivos não funcionam.

Creio eu que as chamadas e troca de arquivos acontecem ponto a ponto, sendo assim, o acesso ao IP da pessoa que estou me comunicando naquele momento não está na lista de liberados, por isso não ocorre a comunicação, seria isso?

Se for isso, há alguma maneira de contornar esse problema?

Obrigado

[danilosv.03]

Criei uma aliase e adiciona ela no seu bypass no squid com esses IP's:
64.4.0.0/18
65.52.0.0/14
91.190.218.0/24
91.190.216.0/24
111.221.64.0/18
134.170.0.0/16
137.116.0.0/16
157.54.0.0/15
157.56.0.0/14
157.60.0.0/16
191.238.101.0/24
191.238.33.0/24
213.199.160.0/18

Depois cria uma Common ACL com esses domínios:
ui.skype.com swx.cdn.skype.com static.asm.skype.com static-asm.secure.skypeassets.com static.skypeassets.com skype.com secure.skype.com prod.tpc.skype.com prod.registrar.skype.com pipe.skype.com login.skype.com login.live.com contacts.skype.com b.config.skype.com a.config.skype.com auth.gfx.ms apps.skype.com apps.skypeassets.com api.skype.com api.mcr.skype.com api.asm.skype.com

E tente de novo.

[gui.ap]

@danilosv.03:

Sim e atualizada 2.3.2_1

a ultima versão do skype é a 7.28.0.101

Por favor, teste com esse ultima.

[victorfmaraujo]

Abaixo a Solução que resolveu para mim.

Testei em:
pfsense 2.2.6 + Squid 3 + squidguard
pfsense 2.3.1 + squid 3 + squidguard

Observações:
1 - Não configurei regra de Firewall com aliases dos endereços ips do Skype.
2 - Portas 80 e 443 fechadas em modo Reject

Configuração no SQUID

Services > Squid Proxy > General

1 - ir até o campo Before Auth em Advanced Options e colocar o conteúdo abaixo:

#REGRA SKYPE
acl numeric_IPs dstdom_regex ^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9a-f]+)?:([0-9a-f:]+)?:([0-9a-f]+|0-9\.]+)?\])):443
acl Skype_UA browser ^skype
#acl validUserAgent browser \S+
#http_access allow !validUserAgent
http_access allow CONNECT localnet numeric_IPS Skype_UA
#FIM REGRA SKYPE

Aplicar

2 - Ainda no squid ir em ACLS e colocar o conteúdo abaixo no campo WHITELIST:

#SKYPE
skype.com
skype.net
skypeassets.com
^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9a-f]+)?:([0-9a-f:]+)?:([0-9a-f]+|0-9\.]+)?\])):443
mobile.pipe.aria.microsoft.com
trouter.io
windowsupdate.com
omniroot.com
public-trust.com
symcb.com
symcd.com
microsoft.com
live.com:443
msocsp.com
microsofttranslator.com
tools.google.com
m.hotmail.com:443
globalsign.com
globalsign.net
dps.bing.com:443

Aplicar.

Configuração no SquidGuard

Services > Squid Guard Proxy

Criar uma categoria personalizada na aba Target Categorie

Adicionar o conteúdo abaixo em Domain List

skype.com microsoft.com live.com auth.gfx.ms skypeassets.com hotmail.com

Adicionar o conteúdo abaixo em Regular Expression

mobile.pipe.aria.microsoft.com s.aolcdn.com:443 windowsupdate.com ocsp.omniroot.com public-trust.com symcb.com microsoft.com microsofttranslator.com trouter.io tools.google.com m.hotmail.com globalsign.com globalsign.net dps.bing.com:443 symcd.com

Obviamente que a regra acima pode ser melhorada, colocando o que é domínio no seu devido lugar por exemplo.

feito isso, basta colocar a categoria criada acima como WHITELIST nas suas Acls do squidguard, não esquecendo da Common ACL.

Importante, sempre acompanhe via Tail -f o arquivo de log do Squid fazendo um filtro no IP da máquina que está testando, além da aba Real Time do Squid que facilita bastante o serviço.

[danilosv.03]

Resolvi de uma maneira bem mais simples: Criando uma aliases e colocando o nome dela lá em bypass. Contrapartida, essa sua é muito boa também. Irei testar. Acredito que você fazendo a regra somente no squid não terá necessidade de você no squiguard, pois o squidguard é só um complemento do squid.
Contudo, parabéns!

[victorfmaraujo]

@danilosv.03:

Resolvi de uma maneira bem mais simples: Criando uma aliases e colocando o nome dela lá em bypass. Contrapartida, essa sua é muito boa também. Irei testar. Acredito que você fazendo a regra somente no squid não terá necessidade de você no squiguard, pois o squidguard é só um complemento do squid.
Contudo, parabéns!

Tive que fazer no squidguard também pois vi hits de block no log do squidguard

[danilosv.03]

Esse logo, como tu consegue identificar-los ? Tu sabe alguma maneira de baixar as blacklist via putty?

[victorfmaraujo]

@danilosv.03:

Esse logo, como tu consegue identificar-los ? Tu sabe alguma maneira de baixar as blacklist via putty?

na aba realtime tem os dois logs separados, mas fica tudo em /var/squid/logs/access.log e /var/squidguard/logs/block.log, aí rodo aquele tail -f | grep IP

você quer baixar o arquivo ou atualizar a lista?

baixar tem o comando fetch

[danilosv.03]

Tem como tu passar esse comando?

Nesse caso eu coloco os comandos que você colocou ai e pronto, certo?

[victorfmaraujo]

@danilosv.03:

Tem como tu passar esse comando?

Nesse caso eu coloco os comandos que você colocou ai e pronto, certo?

fetch -o Link

[danilosv.03]

Essa foi a tela que apareceu.